Política de privacidad

Simon Abplanalp, c/o abplanalp-it
Schmittenweg 7, 5707 Seengen, Suiza
Correo electrónico: support@routebook.io

Solo tratamos datos personales cuando existe una base jurídica según el art. 6 del RGPD:

Sobre los correos: los enlaces de nuestros correos automáticos pasan por una redirección en nuestros propios servidores para que podamos ver qué mensajes merece la pena enviar. No usamos píxeles de seguimiento ni registramos si abriste un correo, solo si se pulsó un enlace. No se comparte nada con terceros y los enlaces para darse de baja nunca se registran. Puedes dejar de recibir los correos no esenciales en los ajustes de tu cuenta.

Sobre las páginas compartidas: cuando creas un enlace para compartir, contamos cuántas veces se abre la página correspondiente para valorar si merece la pena ofrecer esta función. Registramos cuál de tus enlaces se abrió, el sitio del que venía el visitante, el país aproximado y, si usaste uno de nuestros botones para compartir, en qué servicio lo publicaste. No registramos quién era el visitante. A una visita no se le asocia ninguna cuenta, ninguna dirección IP ni ninguna cookie, y no se sigue a los visitantes entre sitios web. La dirección IP de un visitante solo se mantiene en memoria el tiempo necesario para no contar dos veces al mismo lector y nunca se guarda. Si eliminas tu cuenta, tus enlaces para compartir se eliminan y los registros de visitas restantes ya no te identifican.

En la página de inicio: contamos qué idioma pide el navegador de los visitantes, para saber qué idiomas ofrecer. Solo se guarda un total diario por idioma del navegador, idioma mostrado y país aproximado, nunca nada sobre un visitante concreto, y los miembros con sesión iniciada no se cuentan. Como en las páginas compartidas, la dirección IP solo se mantiene en memoria el tiempo necesario para no contar dos veces una recarga, y nunca se guarda.

Usamos cookies para hacer funcionar y mejorar nuestro sitio. Un banner de cookies te permite gestionar tus preferencias. Las cookies necesarias se instalan sin consentimiento porque son imprescindibles para que el servicio funcione.

• Necesarias: sesión de autenticación, tokens de seguridad, tus elecciones sobre cookies (art. 6.1.b RGPD)
• Necesarias: cookie de idioma (NEXT_LOCALE, 12 meses), que solo se instala cuando eliges un idioma en los ajustes, para que el sitio lo siga mostrando. Solo contiene el código del idioma (art. 6.1.b RGPD)
• Analíticas: Umami – estadísticas de visitas respetuosas con la privacidad y sin cookies. No instala cookies ni te sigue entre sitios (art. 6.1.f RGPD / consentimiento)
• Funcionales: módulos de pago de Stripe, que solo se cargan cuando abres un proceso de pago (art. 6.1.b RGPD)
• Funcionales: cookie de recomendación (rb_ref, 30 días). Cuando abres un enlace de invitación o el mapa, la página de viaje, el resumen del año o el perfil compartido de un miembro, recuerda quién te invitó para que, si te registras, ambos reciban el mes de Pro gratuito que promete la invitación. Solo contiene el código de invitación o el nombre de usuario público de ese miembro (art. 6.1.b RGPD)
• Marketing: píxel publicitario de Reddit, usado para medir si nuestros anuncios en Reddit generan registros (art. 6.1.a RGPD – consentimiento)

Puedes retirar tu consentimiento en cualquier momento desde el banner de cookies o borrando las cookies de tu navegador.

• Supabase (Supabase Inc., EE. UU.) – alojamiento de la base de datos y la autenticación. Los datos se almacenan en la región de la UE (Fráncfort). Supabase actúa como encargado del tratamiento en virtud de un acuerdo de tratamiento de datos. Base de la transferencia: cláusulas contractuales tipo (CCT).
• Vercel (Vercel Inc., EE. UU.) – alojamiento web y red de distribución. Base de la transferencia: cláusulas contractuales tipo (CCT). Política de privacidad de Vercel.
• Stripe (Stripe, Inc., EE. UU.) – procesamiento de pagos. Tus datos de pago se envían directamente a Stripe y nunca se guardan en nuestros servidores. Stripe está certificado en el marco Data Privacy Framework UE–EE. UU. Política de privacidad de Stripe.
• Umami (Umami Software, Inc., EE. UU.) – analítica web. Umami no usa cookies y recoge páginas vistas agregadas, el sitio de procedencia y el país aproximado sin crear un perfil tuyo ni seguirte por otros sitios. Política de privacidad de Umami.
• Reddit (Reddit, Inc., EE. UU.) – medición de conversiones publicitarias. Si llegas desde uno de nuestros anuncios en Reddit, el píxel de Reddit registra que se produjo una visita o un registro. Si has iniciado sesión, se transmite un identificador cifrado derivado de tu correo electrónico para poder asociar la conversión. Base de la transferencia: cláusulas contractuales tipo. Política de privacidad de Reddit.
• Google (Google Ireland Ltd., Irlanda / Google LLC, EE. UU.) – API de Places, Geocoding y Maps, usadas para identificar y ubicar los hoteles que registras. Enviamos el nombre del hotel, la ciudad o el identificador del lugar que se busca; no enviamos tu nombre, tu correo ni tu identificador de cuenta, y los resultados se guardan en caché para no consultar repetidamente el mismo lugar. Base de la transferencia: Data Privacy Framework UE–EE. UU. y cláusulas contractuales tipo. Política de privacidad de Google.
• Proveedores de datos de vuelos – AeroDataBox, ADSB-DB, OpenSky Network y Planespotters, a los que se consulta con el número de vuelo, la ruta y la fecha que introduces para obtener horarios, estado y detalles del avión. No se transmite ningún identificador de cuenta.
• Resend (Resend, Inc., EE. UU.) – envío de correos transaccionales (mensajes de cuenta y seguridad, recordatorios de viaje, alertas de vuelos). Resend recibe tu dirección de correo y el contenido del mensaje con el único fin de entregarlo, y actúa como encargado del tratamiento en virtud de un acuerdo de tratamiento de datos. Base de la transferencia: cláusulas contractuales tipo. Política de privacidad de Resend.
• Cloudflare (Cloudflare, Inc., EE. UU.) – DNS de routebook.io y recepción de los correos que reenvías a tu dirección personal en routebook.me (sección 14). Cloudflare nos pasa cada correo directamente y no lo conserva. Base de la transferencia: EU-US Data Privacy Framework y cláusulas contractuales tipo. Política de privacidad de Cloudflare.
• Anthropic (Anthropic, PBC, EE. UU.) – lectura de los correos de reserva que reenvías (sección 14) para encontrar los vuelos y estancias en hoteles que contienen. Anthropic recibe el texto y los adjuntos del correo solo con ese fin y, según sus condiciones comerciales, no los usa para entrenar sus modelos. Base de la transferencia: cláusulas contractuales tipo. Política de privacidad de Anthropic.
• Flagcdn / OurAirports / OpenFlights – datos públicos de aeropuertos y banderas, cargados en el navegador. No se transmiten datos personales.

Tienes los siguientes derechos sobre tus datos personales:

• Acceso – solicitar una copia de los datos que tenemos sobre ti
• Rectificación – corregir datos inexactos o incompletos
• Supresión – solicitar la eliminación de tus datos («derecho al olvido»)
• Limitación – limitar el tratamiento en determinadas circunstancias
• Portabilidad – recibir tus datos en un formato legible por máquina (exportación CSV disponible con Pro)
• Oposición – oponerte al tratamiento basado en el interés legítimo
• Retirada del consentimiento – retirar en cualquier momento un consentimiento dado, sin que ello afecte al tratamiento anterior

Para ejercer cualquiera de estos derechos, escríbenos a support@routebook.io. Responderemos en un plazo de 30 días.

Si consideras que tus datos se están tratando de forma ilícita, tienes derecho a presentar una reclamación ante una autoridad de control:

• Suiza: Comisionado Federal de Protección de Datos e Información (EDÖB) – www.edoeb.admin.ch
• Usuarios de la UE: la autoridad de control de tu país de residencia

Aplicamos medidas técnicas y organizativas adecuadas para proteger tus datos, entre ellas:

• Cifrado HTTPS/TLS en todas las transmisiones
• Hash de contraseñas con bcrypt (gestionado por Supabase Auth)
• Controles de acceso por roles: cada usuario solo puede acceder a sus propios datos
• Actualizaciones periódicas de dependencias y parches de seguridad

No tomamos decisiones automatizadas ni elaboramos perfiles en el sentido del art. 22 RGPD.

Ofrecemos una extensión opcional para Chrome que te permite importar tu historial de reservas de hotel desde los sitios de reservas compatibles (actualmente Booking.com; se podrán añadir otros) a tu cuenta de routebook.io. La extensión solo funciona en las páginas del sitio de reservas necesarias para leer tu historial de viajes (por ejemplo, «Mis reservas» o las páginas de confirmación) y en el propio routebook.io; no se ejecuta en ningún otro sitio.

La extensión:

• Lee los datos de reserva que ya ves en la página que estás consultando (nombre del hotel, fechas, precio, número de confirmación y datos similares); no accede a tus credenciales del sitio de reservas, a tus datos de pago ni a ninguna página fuera de tu historial de reservas.
• Envía los datos que lee directamente a tu cuenta de routebook.io mediante una conexión cifrada, usando un token de autenticación que generas en los ajustes.
• No vende, comparte ni transmite tus datos a terceros. Los datos solo se envían a routebook.io.
• Guarda una pequeña cantidad de datos localmente en tu navegador (tu token de autenticación y una lista breve de reservas ya importadas, para evitar duplicados); esto se queda en tu dispositivo y nunca se envía a otro lugar.

Puedes revocar el acceso de la extensión en cualquier momento eliminando su token en los ajustes o desinstalando la extensión de Chrome. Las estancias importadas están sujetas a los mismos derechos descritos en la sección 5 (acceso, rectificación, supresión, etc.) que cualquier otro dato de tu cuenta.

Las cuentas Pro pueden importar estancias de hotel pasadas desde una exportación de Google Timeline generada por la app Google Maps de tu teléfono. La función es opcional, nunca se ejecuta automáticamente y maneja algunos de los datos más sensibles con los que trabajamos, así que conviene precisar qué ocurre con ellos.

• El archivo de exportación nunca se sube. Se lee y analiza por completo en tu navegador, en tu dispositivo. Tu historial de ubicaciones sin procesar no llega a nuestros servidores, y no podría: el archivo es mucho más grande que cualquier solicitud que aceptamos.
• Solo nos llegan las noches fuera que selecciones, y únicamente como identificador de lugar de Google con fecha de entrada y de salida. Los trayectos, rutas, marcas de tiempo, visitas de menos de una noche y cualquier lugar identificado como tu casa o tu trabajo se descartan en tu navegador y nunca se transmiten.
• Los identificadores de lugar que selecciones se envían a la API de Google Places para obtener el nombre y la dirección del hotel, como se describe en la sección 4. Los resultados se guardan en caché para limitar las consultas repetidas.
• Las estancias importadas van a una cola de revisión y solo pasan a ser estancias normales cuando las confirmas. Cada una se marca como procedente de una importación de Timeline, para poder encontrarlas y eliminarlas juntas.
• Base jurídica: art. 6.1.b RGPD (ejecución del contrato), iniciada por ti cada vez que eliges un archivo.

Las estancias importadas tienen los mismos derechos que cualquier otro dato de tu cuenta (sección 5) y se pueden eliminar una a una o todas a la vez en Ajustes → Hoteles.

Cuando un vuelo de tu cuenta se canceló o llegó con un retraso que supera el umbral de un régimen de derechos de los pasajeros aplicable a esa ruta (actualmente el Reglamento UE 261/2004 y su equivalente británico, el Air Passenger Protection Regulations de Canadá y las normas de la ANAC de Brasil), podemos mostrarte un aviso, y enviarte un correo, que te remite a un socio que gestiona este tipo de reclamaciones. La comprobación se hace en nuestros propios servidores con los datos de vuelo que ya hay en tu cuenta; no se comparte nada sobre tus vuelos con el socio salvo que decidas pulsar el enlace y presentar tú mismo una reclamación.

• Los enlaces salientes a socios pasan por routebook.io/go/… para poder contar el clic. Guardamos el socio, la hora, el lugar donde se mostró el enlace y, cuando corresponde, tu ID de usuario y el vuelo relacionado.
• Al socio se le pasa un identificador opaco del clic para que una reclamación con éxito pueda atribuírsenos a efectos de comisión. No contiene nombre, correo electrónico ni datos del vuelo.
• Esta función no instala cookies publicitarias ni píxeles de seguimiento de terceros.
• Base jurídica: art. 6.1.f RGPD (interés legítimo en operar y financiar el servicio). Puedes oponerte en cualquier momento según la sección 5, descartar cualquier aviso en la app y darte de baja de los correos correspondientes mediante el enlace que incluye cada uno.
• Si eliminas tu cuenta, los registros de clics se conservan pero se desvinculan de ti: el ID de usuario se borra y queda solo un recuento anónimo.

Estos avisos se generan automáticamente y no constituyen asesoramiento jurídico. Si realmente corresponde una compensación depende de la causa de la incidencia, que nosotros no podemos determinar.

Podemos actualizar esta política de privacidad de vez en cuando. La versión vigente está siempre disponible en routebook.io/privacy-policy. Los cambios importantes se comunicarán por correo electrónico.

Si te encuentras en Brasil, al tratamiento de tus datos personales también se le aplica la Ley General de Protección de Datos brasileña (Lei nº 13.709/2018, «LGPD»). Esta sección complementa el resto de la política.

• Bases jurídicas (art. 7 LGPD): ejecución del contrato para tu cuenta, vuelos, estancias y pagos (art. 7, V); cumplimiento de obligaciones legales para los justificantes de pago (art. 7, II); interés legítimo para los datos de uso, la interacción con los correos, las visitas a páginas compartidas y el recuento de clics de afiliado (art. 7, IX); y consentimiento para el píxel de marketing (art. 7, I).
• Tus derechos (art. 18 LGPD): confirmación de que tratamos tus datos; acceso; corrección de datos incompletos, inexactos o desactualizados; anonimización, bloqueo o eliminación de datos innecesarios o excesivos; portabilidad; eliminación de los datos tratados con tu consentimiento; información sobre con quién compartimos datos; información sobre la posibilidad de no dar tu consentimiento y sus consecuencias; y revocación del consentimiento. También puedes pedir la revisión de decisiones tomadas únicamente mediante tratamiento automatizado (art. 20); no tomamos ninguna.
• Transferencias internacionales (art. 33 LGPD): tus datos se almacenan en la UE y los tratan los proveedores indicados en la sección 4, algunos en EE. UU. Estas transferencias se basan en cláusulas contractuales tipo y en las demás garantías descritas allí.
• Encargado de protección de datos (encarregado): Simon Abplanalp, en support@routebook.io. Las solicitudes se atienden de forma gratuita, en un plazo de 15 días cuando la LGPD lo exige.
• Reclamaciones: puedes presentar una reclamación ante la Autoridad Nacional de Protección de Datos de Brasil (ANPD) – www.gov.br/anpd.

Puedes reenviar confirmaciones de reserva a una dirección personal en routebook.me, que aparece en Ajustes. Es opcional y solo ocurre cuando tú, o una regla de reenvío que hayas creado, envía un correo allí.

• Cloudflare recibe el correo y lo pasa directamente a nuestros servidores. Su texto y los adjuntos PDF que tenga se envían a Anthropic, que extrae los vuelos y estancias en hoteles: fechas, aeropuertos, números de vuelo, nombres de hotel, precios y números de confirmación.
• No guardamos el correo en sí. Solo guardamos los vuelos y estancias encontrados, que esperan en una lista de revisión hasta que los confirmes o descartes, y un breve registro de cada correo recibido (la hora, el dominio del remitente como swiss.com y el resultado) para que Ajustes pueda mostrarte qué pasó con él. El registro se borra a los 90 días, y los vuelos que nunca revisaste a los 60 días.
• Tu dirección contiene tu nombre de usuario y una parte aleatoria. Quien la conozca puede enviarle correos, así que no la compartas; puedes sustituirla cuando quieras en Ajustes, y la anterior deja de funcionar al instante.
• Después de cada correo te enviamos una breve respuesta, a través de Resend (sección 4), con lo que se encontró.
• Base jurídica: art. 6.1.b RGPD (ejecución del contrato), iniciada por ti cada vez que se envía un correo a tu dirección.